SIEM उपयोग के उदाहरण: व्यापक सुरक्षा के लिए सुरक्षा को स्वचालित बनाना

इमारत SIEM उपयोग के मामले तीन मुख्य घटकों पर निर्भर करते हैं:

1. नियम: ये लक्षित घटनाओं के आधार पर अलर्ट का पता लगाते हैं और ट्रिगर करते हैं। 
2. तर्क: यह उस तरीके को परिभाषित करता है जिसमें घटनाओं या नियमों का विश्लेषण किया जाता है।
3. कार्रवाई: यह तर्क के परिणाम को दर्शाता है: यदि इसकी शर्तें पूरी होती हैं, तो यह परिभाषित करता है कि क्या होगा। SIEM यह इसके साथ क्या करता है - या तो टीम को अलर्ट भेजता है, फायरवॉल के साथ इंटरैक्ट करता है और डेटा ट्रांसफर को रोकता है, या बस सही तरीके से की गई गतिविधियों की निगरानी करता है। 

व्यक्तिगत उपयोग के मामलों को इन तीन मार्गदर्शक प्रक्रियाओं द्वारा निर्देशित किया जाना चाहिए। हालाँकि, इसके बाद, SIEM इसे लागू करने के लिए आपकी संस्था को जिन सबसे महत्वपूर्ण उपयोगों की आवश्यकता होगी, उनकी पहचान करने हेतु कुछ कल्पनाशीलता और विश्लेषण की आवश्यकता होती है। उन हमलों के प्रकारों पर विचार करें जिनका आपको सामना करना पड़ सकता है। इसमें आपकी संस्था से संबंधित व्यावसायिक खतरों की पहचान करना और प्रत्येक हमले के लिए उसे संबंधित संसाधनों से जोड़ना शामिल है। इस प्रक्रिया के अंत तक, आपके पास एक स्पष्ट मानचित्र होगा जो व्यावसायिक जोखिमों को विशिष्ट आक्रमण कारकों से जोड़ता है।

फिर, पहचाने गए हमलों को चयनित ढांचे के भीतर वर्गीकृत करके यह निर्धारित करें कि इन हमलों को कैसे और कहाँ संबोधित किया जाना चाहिए। उदाहरण के लिए, एक बाहरी स्कैन हमला आपके ढांचे में टोही या लक्ष्यीकरण के अंतर्गत आ सकता है।

अब, दो संबंधों को जोड़ें: उच्च-स्तरीय उपयोग के मामले पहचाने गए व्यावसायिक खतरों के अनुरूप होंगे, और उन्हें अधिक विशिष्ट निम्न-स्तरीय उपयोग के मामलों में विभाजित किया जा सकता है। यदि आपका उच्च-स्तरीय उपयोग का मामला डेटा हानि है, तो निम्न-स्तरीय उपयोग के मामलों में सर्वर समझौता, डेटा निर्यात या अनधिकृत व्यवस्थापक गतिविधि शामिल हो सकती है।

प्रत्येक निम्न-स्तरीय उपयोग मामला तार्किक रूप से विशिष्ट हमले प्रकारों से जुड़ा होगा, जो तकनीकी नियमों को परिभाषित करने में सहायता करेगा। ये नियम कई निम्न-स्तरीय उपयोग मामलों में ओवरलैप हो सकते हैं, और प्रत्येक उपयोग मामले में कई नियम शामिल हो सकते हैं। इस संरचना को परिभाषित करना महत्वपूर्ण है, क्योंकि यह लॉग स्रोतों और उन्हें प्रभावी ढंग से लागू करने के लिए आवश्यक तकनीकी नियमों के बीच संबंध को स्पष्ट करेगा।

जब तक आप बैठकर इस पर काम कर लेंगे, तब तक आप तकनीकी नियम परिभाषित करने के लिए पूरी तरह से तैयार हो जाएंगे। प्रत्येक सूक्ष्म उपयोग मामले में कई नियम समाहित हो सकते हैं, जिसका अर्थ है कि आपके द्वारा स्थापित किए जा रहे नियमों का एक खाका रखना महत्वपूर्ण है। यह आपके काम को गति प्रदान करता है। SIEM जोखिम को प्राथमिकता देने की क्षमता। 

एक बार ये नियम लागू हो जाने के बाद, इनमें निरंतर विकास की आवश्यकता होती है: कुछ SIEMस्टेलर के लिए, वर्तमान में लागू नियमों का परिणाम अलर्ट और स्टेटस पैनल के माध्यम से तुरंत उपलब्ध होता है और उसे फ़िल्टर किया जा सकता है। महत्वपूर्णता, किरायेदारों और प्लेबुक को दर्शाने वाली प्रवृत्ति जानकारी के साथ, बेहतर प्रदर्शन की दिशा में अगला कदम उठाया जा सकता है। SIEM कार्यकुशलता हमेशा स्पष्ट होती है।